AWS políticas administradas para MemoryDB

Para añadir permisos a usuarios, grupos y roles, es más fácil usar políticas AWS administradas que escribirlas tú mismo. Se necesita tiempo y experiencia para crear políticas administradas por el cliente de IAM que proporcionen a su equipo solo los permisos necesarios. Para empezar rápidamente, puedes usar nuestras políticas AWS gestionadas. Estas políticas cubren casos de uso comunes y están disponibles en tu AWS cuenta. Para obtener más información sobre las políticas AWS administradas, consulte las políticas AWS administradas en la Guía del usuario de IAM.

AWS los servicios mantienen y AWS actualizan las políticas gestionadas. No puede cambiar los permisos en las políticas AWS gestionadas. En ocasiones, los servicios agregan permisos adicionales a una política administrada por AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política administrada por AWS cuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no eliminan los permisos de una política AWS administrada, por lo que las actualizaciones de la política no afectarán a los permisos existentes.

Además, AWS admite políticas administradas para funciones laborales que abarcan varios servicios. Por ejemplo, la política ReadOnlyAccess AWS gestionada proporciona acceso de solo lectura a todos los AWS servicios y recursos. Cuando un servicio lanza una nueva función, AWS agrega permisos de solo lectura para nuevas operaciones y recursos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte Políticas administradas de AWS para funciones de trabajo en la Guía del usuario de IAM.

AWS política gestionada: MemoryDB ServiceRolePolicy

No puede adjuntar la política ServiceRolePolicy AWS gestionada de MemoryDB a las identidades de su cuenta. Esta política forma parte de la función vinculada al AWS servicio de MemoryDB. Este rol permite al servicio administrar las interfaces de red y los grupos de seguridad de su cuenta.

MemoryDB usa los permisos de esta política para administrar los grupos de seguridad y las interfaces de red de EC2. Esto es necesario para administrar los clústeres de MemoryDB.

Detalles de los permisos

Esta política incluye los siguientes permisos.

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateTags"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:CreateAction": "CreateNetworkInterface"
                    },
                    "ForAllValues:StringEquals": {
                        "aws:TagKeys": [
                            "AmazonMemoryDBManaged"
                        ]
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:CreateNetworkInterface"
                ],
                "Resource": [
                    "arn:aws:ec2:*:*:network-interface/*",
                    "arn:aws:ec2:*:*:subnet/*",
                    "arn:aws:ec2:*:*:security-group/*"
                ]
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:network-interface/*",
                "Condition": {
                    "StringEquals": {
                        "ec2:ResourceTag/AmazonMemoryDBManaged": "true"
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DeleteNetworkInterface",
                    "ec2:ModifyNetworkInterfaceAttribute"
                ],
                "Resource": "arn:aws:ec2:*:*:security-group/*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ec2:DescribeSecurityGroups",
                    "ec2:DescribeNetworkInterfaces",
                    "ec2:DescribeAvailabilityZones",
                    "ec2:DescribeSubnets",
                    "ec2:DescribeVpcs"
                ],
                "Resource": "*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "cloudwatch:PutMetricData"
                ],
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "cloudwatch:namespace": "AWS/MemoryDB"
                    }
                }
            }
        ]
    }

AWS-políticas administradas (predefinidas) para MemoryDB

AWS aborda muchos casos de uso comunes al proporcionar políticas de IAM independientes que son creadas y administradas por. AWS Las políticas administradas conceden los permisos necesarios para casos de uso comunes, lo que le evita tener que investigar los permisos que se necesitan. Para más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

Las siguientes políticas AWS gestionadas, que puede adjuntar a los usuarios de su cuenta, son específicas de MemoryDB:

AmazonMemoryBASE DE DATOS ReadOnlyAccess

Puede adjuntar la política AmazonMemoryDBReadOnlyAccess a las identidades de IAM. Esta política concede permisos administrativos que permiten acceso de solo lectura a todos los recursos de MemoryDB.

AmazonMemoryDB ReadOnlyAccess: otorga acceso de solo lectura a los recursos de MemoryDB.

{
	"Version": "2012-10-17",
	"Statement": [{
		"Effect": "Allow",
		"Action": [
			"memorydb:Describe*",
			"memorydb:List*"
		],
		"Resource": "*"
	}]
}

AmazonMemoryDB FullAccess

Puede adjuntar la política AmazonMemoryDBFullAccess a las identidades de IAM. Esta política otorga permisos administrativos que brindan acceso completo a todos los recursos de MemoryDB.

AmazonMemoryDB FullAccess: otorga acceso completo a los recursos de MemoryDB.

{
	"Version": "2012-10-17",
	"Statement": [{
			"Effect": "Allow",
			"Action": "memorydb:*",
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": "iam:CreateServiceLinkedRole",
			"Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB",
			"Condition": {
				"StringLike": {
					"iam:AWSServiceName": "memorydb.amazonaws.com"
				}
			}
		}
	]
}

También puede crear sus propias políticas de IAM personalizadas para permitir permisos para las acciones de la API de MemoryDB. Puede asociar estas políticas personalizadas a los grupos o usuarios de IAM que requieran esos permisos.

MemoryDB actualiza las políticas gestionadas AWS

Vea los detalles sobre las actualizaciones de las políticas AWS administradas para MemoryDB desde que este servicio comenzó a rastrear estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página de historial de documentos de MemoryDB.

Cambio	Descripción	Fecha
AmazonMemoryDB FullAccess: agregar una política	MemoryDB agregó nuevos permisos para describir y enumerar los recursos compatibles. Estos permisos son necesarios para que MemoryDB consulte todos los recursos compatibles de una cuenta.	10/07/2021
AmazonMemoryBASE DE DATOS ReadOnlyAccess: agregar una política	MemoryDB agregó nuevos permisos para describir y enumerar los recursos compatibles. Estos permisos son necesarios para que MemoryDB cree aplicaciones basadas en cuentas mediante consultas a todos los recursos compatibles de una cuenta.	10/07/2021
MemoryDB comenzó a realizar un seguimiento de los cambios	Lanzamiento del servicio	19/8/2021